Нямаме ISO сертификат, как могу да отговоря добре на този въпрос

Липса на сертификат не е "не", а друго обоснование

Не попълвайте автоматично "не" при този въпрос. Сертификат ISO 27001 е доказателство от одитор, че системата за управление отговаря на стандарта — но основния въпрос на вашия клиент обикновено е насочен към самите мерки, а не към документа. Ако имате политика за управление на достъпа, управление на инциденти, непрекъснатост и другите компоненти от Приложение A на ISO 27001, можете да го опишете без да претендирате за сертификат. Отговорете на въпроса따 по два слоя: първо фактът ("не е сертифицирано"), след това обяснението ("има политика, която отговаря на следните компоненти"). По този начин отговорът остава верен и все още дава на клиента нещо полезно.

На практика списъкът с въпроси обикновено това вече разделя сам по себе си: един въпрос към сертификатът ISO 27001 отделно, и отделни въпроси към основните мерки. Отговорете на последните по техните собствени достойнства — например въпросът за политика за достъп и управление на активи или този за анализ на риска и защита на информационните системи. Ако нямате документ за определен компонент, отговорете там с "не" или "отчасти" — не на целия списък наведнъж, само защото липсва сертификатът. Един липсващ елемент не трябва да замърси всеки друг отговор.

Приложение A и член 21, параграф 2 изискват мерки, не сертификат

ISO/IEC 27001 самата се състои от два дела: изискванията към системата за управление и Приложение A с мерките за управление (достъп, криптография, доставчици, инциденти, непрекъснатост и т.н.). Сертификат показва, че одитор е преценил системата; той не е единственият начин да се покаже, че мерките са налични. Членът 21, параграф 2 на директивата NIS2 също така поставя въпроси относно това, което прави организацията — не относно кой сертификат притежава. За повечето списъци с въпроси следователно: политика и видима практика отговарят на същинския въпрос, дори без ISO сертификат.